Güvenlik

Motor: Chromium, V8, Skia

2026 boyunca Chrome'da, vahşi doğada sömürülen altı zero-day dahil onlarca bellek güvenliği açığı kapatıldı. Bu kodu biz yazmıyoruz ve düzeltemiyoruz; buradaki tek savunma motoru güncel tutmaktır.

Kuralımız bu yüzden net: Girginos Browser ömrünü tamamlamış bir Electron sürümüyle yayınlanmaz. Electron yalnızca son üç ana sürümü destekler ve sürüm sabiti her yayın öncesinde denetlenir. Şu an Electron 44.2.0 ve Chromium 152.0.7977.76 kullanılıyor.

Kabuk: bizim yazdığımız kod

Kabuk tarafındaki mimari kararlar şunlar:

• Her sekme ayrı bir WebContentsView. Sayfa içerikleri sandbox: true, contextIsolation: true ve nodeIntegration: false ile çalışır ve preload almaz.
• Arayüz penceresi de korumalı çalışır ve sekmelerle aynı oturumu paylaşır; böylece arayüzün kendi istekleri de engelleyiciden ve DNT başlıklarından geçer.
• IPC kanalları yalnızca arayüz penceresinin ana çerçevesinden kabul edilir. Ayar yazma işlemleri anahtar ve tip doğrulamasından geçer.
• İndirmeler kimlikle adreslenir; arayüzden gelen ham bir dosya yolu hiçbir zaman açılmaz.
• Sayfa kaynaklı gezinmeler yalnızca http(s) ve view-source:http(s) olabilir. file: ve chrome: yalnızca kullanıcı adres çubuğuna kendisi yazarsa açılır.
• Harici uygulamaya devir dar bir şema listesiyle sınırlı: mailto:, tel:, sms:, magnet:, ftp(s):, webcal:. Aynı anda tek onay kutusu açılır.
• Opak kaynaklar — data: ve about: gibi origin'i null olanlar — izin isteklerinde her zaman reddedilir.
• Yazım denetimi kapalı, çünkü Chromium sözlük dosyalarını bir Google sunucusundan indiriyor.
• Veriler geçici dosya ve yeniden adlandırma ile atomik olarak yazılır.

Saldırı vektörleri ve karşılıkları

İmzalı güncelleme zinciri

Tehdit modeli, güncelleme sunucusunun ele geçirilmiş olabileceğini varsayar. Sıra şöyle işler:

1. İmzalı manifest ve yanındaki imza dosyası çekilir.
2. İmza, uygulamaya gömülü Ed25519 açık anahtarıyla manifestin ham baytları üzerinde doğrulanır. Geçmezse hiçbir alan okunmaz.
3. Sürüm kapıları uygulanır: geri sürüme düşürme reddedilir; manifestin kendi son kullanma tarihi geçmişse reddedilir — bu, eski bir manifesti sonsuza dek servis edip güncellemeyi dondurma saldırısına karşıdır; gerekiyorsa ara sürüm zorunlu tutulur; indirme adresi https olmak zorundadır.
4. İndirme aracının bulduğu sürüm ve paket özeti, imzalı manifesttekiyle birebir aynı olmalıdır.
5. İndirme bitince paketin sha512 özeti imzalı özetle sabit zamanlı karşılaştırılır.
6. Kurulum yalnızca kullanıcı onayıyla başlar.

Adımlardan biri başarısız olursa güncelleme yapılmaz. Özel anahtar hiçbir zaman sunucuda durmaz; sunucu ele geçirilse bile saldırgan geçerli bir manifest üretemez.

Testler

118 birim testi, 73 saldırı vektörü regresyonu ve 46 güncelleme doğrulama testi çalışıyor; arayüz ile ana süreç arasındaki IPC ve DOM sözleşmesi ayrıca sınanıyor. Bunların yanında yayın öncesinde ve yayın sonrasında, gerçek çıktılar ve canlı sunucu üzerinde uçtan uca doğrulama betikleri çalıştırılıyor.